最終更新日：2026年9月1日

MSPデータ処理契約

本データ処理契約（以下「本契約」といいます）は、Proton AG（住所：Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland、会社識別番号：CHE-354.686.492、以下「処理者」といいます）と、本基本契約に記載されているMSP（以下「当社」といい、法的形態に関係なく、本サービスを利用して自社の管理顧客へのプロビジョニング、請求、サポートを行うマネージドサービスプロバイダーと解釈されます）との間で締結されるマネージドサービスプロバイダー契約（以下「本基本契約」といいます）の一部を構成します。

本契約は、管理顧客への本サービスのプロビジョニングを含む当社による本サービスの利用がデータ保護法の対象となる個人データの処理を伴う範囲において、データ保護法の具体的な要件を規定します。

本契約の有効期間は、基本契約の有効期間に従うものとします。本契約で定義されていない用語は、本基本契約に定められた意味を有するものとします。

前文

A) 当社は、データ管理者として、または管理顧客自身が自らの個人データの処理を指示する場合は、当該管理顧客に代わってデータ処理者として行動します（いずれの場合も「管理者」といいます）。

B) 当社は、個人データの処理を伴う特定のサービスを、データ処理者として行動するProton AG（以下「処理者」といいます）に委託することを希望します。

C) 当事者は、規則（EU）2016/679（以下「GDPR」といいます）、スイス連邦データ保護法（以下「FADP」といいます）、およびその他の適用されるデータ保護法を含む、データ処理に関する現在の法的枠組みの要件に準拠するデータ処理契約を実施することを目指しています。

D) 当事者は、各自の権利および義務を定めることを希望します。

これにより、以下の通り合意します：

1. 定義、役割、および範囲

1.1 定義。本契約において別段の定義がない限り、大文字で始まる用語は本基本契約で定められた意味を有し、本基本契約で定義されていない場合は以下の意味を有するものとします：

「当社個人データ」とは、本基本契約に関連して処理される、当社、当社の管理顧客、またはそれらの各顧客もしくは従業員に関連する個人データを意味します。
「受託処理者」とは、復処理者を意味します。
「データ保護法」とは、GDPR、FADP、および適用される範囲において他の国のデータ保護またはプライバシーに関する法令を意味します。
「データ移転」とは、(i) 当社から処理者または受託処理者への当社個人データの移転、または (ii) 処理者から復処理者への、もしくは復処理者の二つの事業拠点間における当社個人データの再移転を意味します。
「管理顧客」は、本基本契約で定義された意味を有します。すなわち、当社が独自のマネージドサービスの一環として本サービスをプロビジョニングし提供するエンドユーザー事業体を指します。
「復処理者」とは、本契約に関連して個人データを処理するために、処理者によって、または処理者に代わって任命された者を意味します。
「委員会」、「管理者」、「データ主体」、「加盟国」、「個人データ」、「個人データ侵害」、「処理」、および「監督機関」という用語は、GDPRまたはその他の適用されるデータ保護法における用語と同じ意味を有します。

1.2 当事者の役割。 Protonと当社との間において、管理顧客およびその各エンドユーザーの、またはこれらに関連する個人データを含む、本基本契約に基づいて処理されるすべての当社個人データに関して、当社が管理者（または該当する場合、管理顧客の指示に基づいて行動する処理者）であり、Protonが処理者となります。本契約は、Protonと管理顧客チェーン内の当事者との間の完全かつ排他的なデータ処理の取り決めです。 Protonは管理顧客と直接的な契約関係、管理者・処理者関係、または処理者・復処理者関係を持たず、いかなる管理顧客も本契約の当事者または第三者受益者ではありません。当社は、適用法または契約に基づき当社が管理顧客に対して負うデータ保護条項を含め、管理顧客との合意事項および義務に対して単独で責任を負います。

1.3 当社の川下責任。当社は、各管理顧客に対し、当社が提供するサービスの性質に適用される範囲において、本契約に基づきProtonが当社に対して負う義務と同等以上の保護を当該管理顧客の個人データに対して提供するデータ保護義務を課す書面による合意を締結するものとします。本契約に基づくProtonの義務は当社に対してのみ発生します。当社と管理顧客との間において、Protonの作為または不作為を含む、管理顧客の個人データの処理に関して、当社は引き続き管理顧客に対して単独で責任を負います。

2. 企業個人データの処理

処理者は以下の事項を行うものとします：

当社個人データの処理において、適用されるすべてのデータ保護法を遵守すること、および
以下に定める場合を除き、当社の書面による指示に従う以外に当社個人データを処理しないこと。

当社は処理者に対し、以下の目的で当社個人データを処理することを指示します：

当社、および当社を通じて管理顧客に本サービスおよび関連する技術サポートを提供すること；
法的義務の履行または紛争の解決；
本サービスのセキュリティ、プライバシー、機密性、および機能の最適化を目的とした内部タスクを実行すること。および
内部報告、財務報告、およびその他の同様の内部タスクを実行すること。

3. 処理者の担当職員

処理者は、当社個人データにアクセスする可能性がある受託処理者の従業員、代理人、または請負業者の信頼性を確保するための合理的な措置を講じ、各ケースにおいて、本基本契約の目的および/またはデータ保護法の遵守のために厳格に必要な範囲で、関連する当社個人データを知る必要がある、またはアクセスする必要がある個人にアクセスを厳格に制限し、そのようなすべての個人が守秘義務の誓約、または職業上もしくは法令上の守秘義務に従うことを保証するものとします。

4. セキュリティ

GDPR第32条(1)に従い、処理者は、技術水準、実施コスト、ならびに処理の性質、範囲、文脈および目的を考慮し、リスクに応じた適切なレベルのセキュリティを確保するための適切な技術的および組織的措置を講じるものとします。これらの措置は、個人データ侵害のリスクを含め、可能性と重大性が異なるリスクを考慮し、自然人の権利と自由を保護するように設計されています。当社は、MSP管理者ライセンスを通じた管理顧客アカウントの管理を含め、自らによる当社個人データの処理に対して適切な技術的および組織的措置を実施し、当該アカウントへのアクセスが必要な当社担当者に制限され、適切な認証管理によって保護され、不要になった場合は速やかに失効されるようにするものとします。

5. 再処理

本契約に従い、当社は処理者に対し、復処理者を利用し、当社個人データを復処理者に開示または移転する一般的な承認を付与します。当社は、処理者のプライバシーポリシーに概説されている復処理者のリストを承認し、このリストが処理者によって随時更新される可能性があることを理解します。その場合、当社にはプライバシーポリシーの通知プロセスに従って通知されるものとします。当社はさらに、処理者がその企業グループ内の企業に個人データを開示および移転することを承認します。処理者は、当該復処理者が提供するサービスの性質に適用される範囲において、当社個人データの保護に関して、本契約と同等以上の制限と保護を定めた処理者との契約に復処理者が拘束されることを保証するものとします。疑義を避けるために付言すると、当社はProtonの復処理者ではなく、本条は当社による管理顧客またはサードパーティの独自の利用には適用されません。

6. データ主体の権利

処理の性質を考慮し、処理者は、当社が管理顧客または当該管理顧客自身のエンドユーザーから、もしくはそれらに代わって受領する要求を含む、データ保護法に基づくデータ主体の権利行使の要求に対応する当社の義務を果たすにあたり、当社を合理的に支援するものとします。

処理者は以下の事項を行うものとします：

当社個人データに関してデータ保護法に基づくデータ主体からの要求を受領した場合は、速やかに当社に通知すること。および

当社の文書による指示に基づく場合、または適用法により義務付けられている場合を除き、当該要求に応答しないことを保証すること。適用法により義務付けられている場合、処理者は法的に許可されている範囲で、応答する前にその法的要件を当社に通知するものとします。

当社は、管理顧客の個人データに関連するデータ主体の要求への対応および管理顧客との調整について単独で責任を負います。処理者は、管理顧客を直接特定したり、直接連絡を取ったりする義務を負いません。

7. 個人データ侵害

処理者は、適用されるデータ保護法および内部の個人データ侵害手順に従って、あらゆる個人データ侵害を管理するものとします。当社個人データに影響を与える個人データ侵害が発生した場合、処理者は遅滞なく当社に通知し、該当する場合の影響を受ける管理顧客およびデータ主体への通知を含め、当社がデータ保護法に基づく自らの義務を履行できるようにするための十分な情報を提供するものとします。処理者は当社と協力し、当該各個人データ侵害の調査、軽減、および救済を支援するために当社から指示された合理的な商業的措置を講じるものとします。各当事者は、個人データ侵害が当該当事者に起因する範囲において、調査、救済、軽減の費用、およびその他の関連費用を負担するものとします。各当事者は、本契約に基づく義務に対する当該当事者自身の違反から生じる範囲において、管轄の規制当局によって課される罰金、過料、損害賠償、またはその他の関連金額の費用を負担するものとします。当社は、自社の管理顧客およびそのデータ主体への侵害通知、ならびにそれらの通知の時期および内容について単独で責任を負います。

8. データ保護影響評価および事前協議

処理者は、受託処理者による当社個人データの処理に関連する場合に限り、かつ処理の性質および受託処理者が利用可能な情報を考慮した上で、GDPR第35条もしくは第36条またはその他のデータ保護法の同等の規定により義務付けられていると当社が合理的にみなすデータ保護影響評価および監督機関との事前協議に関して、当社に合理的な支援を提供するものとします。

9. 当社個人データの削除または返還

当社個人データの処理を伴う本サービスの停止に伴い、処理者は、適用法で許可されている範囲で、かつ処理者の利用規約およびプライバシーポリシーに従って、すべての当社個人データを削除するものとします。当社が当社個人データのコピーを必要とする場合は、削除前に要求する必要があります。削除後に行われた要求は考慮されません。本基本契約の終了時、当社は、本基本契約の第5.4条（移行支援）に従って、当社と当該管理顧客との間における管理顧客の個人データの削除、返還、または移行の管理について単独で責任を負い続けます。

10. 監査権

本第10条に従い、処理者は、本契約の遵守を実証するために必要なすべての情報を要求に応じて当社に提供し、受託処理者による当社個人データの処理に関連して、当社または当社から委任を受けた監査人による検査を含む監査を許可し、これに協力するものとします。当社は、個人データ侵害の後、または規制当局による指示を受けた場合を除き、本条に基づく監査権を暦年につき一回を超えて行使してはならないものとします。当社は、監査の意図を少なくとも60（60）日前までに処理者に書面で通知するものとします。監査は処理者の営業時間内に実施され、処理者の業務を中断させず、当社、処理者、およびその他のデータ主体の個人データの保護を確保するものとします。当事者は、監査に適用される日付、範囲、期間、ならびにセキュリティおよび機密保持の管理について事前に相互に合意するものとします。処理者は監査の前に秘密保持契約を要求する場合があります。本条に基づく情報および監査権は、本契約がデータ保護法の関連要件を満たす情報および監査権を別途当社に付与していない範囲でのみ発生します。管理顧客に対する当社自身のデューデリジェンス義務の一環として管理顧客がProtonの処理に関する情報を要求した場合、当社は本条に依拠して処理者から必要な情報を取得し、それを引き渡すことができますが、管理顧客自身は処理者に対して独立した監査権を持ちません。

11. データ移転

可能な限り、処理者は、GDPR第45条およびスイスFADP第16条に規定されているように、スイス、EU内の国、および/または十分性の決定の対象となる国に対してのみ、当社個人データを移転するか、またはその移転を承認するものとします。本契約に基づいて処理される当社個人データがスイス、EU、または十分性の決定の対象となる国からその範囲外の国に移転される場合、別段の合意がない限り、当事者はスイス、EU、および/または英国で承認されたその時点で有効な標準契約条項、またはデータ保護法によって提供されるその他の移転メカニズムに依拠して、個人データが適切に保護されるようにするものとします。移転の性質を考慮した適切な保護措置が講じられていることを条件として、処理者は復処理者に対してかかる移転を実施することを承認されるものとします。

12. 一般条項

12.1 適用法の遵守。 処理者は、本契約および本契約に基づく役割に適用されるデータ保護法に従って当社個人データを処理します。処理者は、それぞれの事業または業界に基づいて当社または管理顧客にのみ適用されるデータ保護法を遵守する責任を負いません。

12.2 機密保持。 各当事者は、本契約に関連して受領した相手方に関する情報を機密として保持し、相手方の事前の書面による同意なしにこれを使用または開示してはなりません。ただし、(a) 開示が法律によって義務付けられている場合、または (b) 当事者の過失によらずに情報がすでにパブリックドメインになっている範囲はこの限りではありません。

12.3 通知。 本契約に基づく通知は、本基本契約の通知条項に従って行われるものとします。データ保護事項に関する処理者への通知は、追加で legal@proton.ch にもコピーされるものとします

12.4 責任。本契約に起因または関連して生じる各当事者の責任は、機密保持およびデータ保護義務違反に対して本基本契約に定められた特定の上限を含め、本基本契約の責任制限条項に従い、かつこれに従って上限が定められます。本契約のいかなる規定も、適用されるデータ保護法に対する当該当事者自身の違反から生じ、管轄の監督機関によって当該当事者に直接課される罰金または過料に対する各当事者の責任を制限するものではありません。当社は、自社の管理顧客に対して管理者と対面する唯一の当事者として、当社が本基本契約の責任上限の下で処理者から回収できる額を超えて管理顧客に対して負う責任について、単独で責任を負うことを認めます。

12.5 準拠法および管轄裁判所。本契約は、他の法域の抵触法規定にかかわらずスイス法に準拠し、本契約に起因または関連して生じる紛争は、スイスのジュネーブ裁判所の専属管轄権に服するものとします。

12.6 優先順位。個人データの処理に関して本契約と本基本契約との間に不一致がある場合、本基本契約の第10.1条に従い、本契約が優先するものとします。本契約の英語版と翻訳版との間に不一致がある場合、英語版が優先されるものとします。